BrainboxPrompt Injection lässt sich nicht beheben.
Aber eingrenzen.
Brainbox ist ein selbst gehostetes Appliance-Betriebssystem für KI-Agenten. Jede Sitzung arbeitet in einer eigenen, versiegelten Maschine auf Hardware, die dir längst gehört — wird eine übernommen, endet der Schaden an ihren Wänden. Darunter: eine microVM pro Sitzung, eigener Kernel, eigene Netzregel — durchgesetzt vom Hypervisor, nicht von einem Prompt.
Seit Monaten unbeaufsichtigt im Betrieb: 1.179 veröffentlichte Studien von Agenten nachgerechnet, auf einer Handvoll selbst gehosteter Maschinen — doesitreproduce.com
Eingrenzen statt erkennen
2025 hat die Fachwelt eingesehen: Herausfiltern funktioniert nicht.
Ein Agent ist eine KI, die handelt: Sie liest Post, öffnet Dateien, führt Befehle aus. Und sie folgt Anweisungen, die in dem versteckt sind, was sie liest — im PDF eines Lieferanten, auf einer Webseite, in einer Termineinladung. Das ist Prompt Injection. Einen verlässlichen Filter dagegen gibt es nicht — das sagen die Hersteller inzwischen selbst.
Meta formuliert es unmissverständlich — Prompt Injection sei „eine grundlegende, ungelöste Schwäche aller Sprachmodelle“. Schutzfilter, die 95 % der Angriffe abfangen, klingen gut, bis man sich erinnert, dass 95 % in der Sicherheit eine glatte Fünf sind. Brainbox versucht deshalb gar nicht erst, bösartige Anweisungen zu erkennen. Es begrenzt, was ein übernommener Agent überhaupt erreichen kann: eine microVM, ein Arbeitsvolumen, eine Netzregel. Läuft eine Sitzung aus dem Ruder, löschst du die Sitzung.
10 von 11 Coding-Agenten ließen sich an der eigenen Freigabeliste vorbeireden
Shell-Quoting und Kommandosubstitution hebelten die Rechteprüfung von Cline, Aider, OpenHands, Roo-Code und anderen aus: Geprüft wurde eine andere Zeichenkette als die, die ausgeführt wurde. Eine Hypervisor-Grenze kennt diese Fehlerklasse nicht.
Ein Agent löschte während eines Code-Freeze die Produktionsdatenbank
Der Freeze stand im Prompt, nicht im Ausführungspfad. Genau darum geht es: Regeln, um deren Einhaltung man einen Agenten bittet, sind keine Regeln, die ein System durchsetzt. Bericht bei t3n →
Zum Nachlesen
Nimm nicht diese Seite beim Wort. Frei lesbare Berichte seriöser Medien — das ist der Stand der Dinge:
- Samsung-Mitarbeiter verraten unabsichtlich Firmengeheimnisse an ChatGPT Der Standard · April 2023 — Code, Chip-Daten und Protokolle landeten auf fremden Servern
- Große Sprachmodelle: BSI warnt vor manipulierenden Prompts heise online · Juli 2023 — das BSI nennt die Schwäche „intrinsisch": eine zuverlässige Lösung existiert nicht
- Zero-Click-Sicherheitslücke in Microsofts Copilot Security-Insider · Juni 2025 — eine präparierte E-Mail genügte, ganz ohne Klick
- KI legt Firma lahm — gesamte Datenbank + Backups in 9 Sekunden gelöscht WinFuture · April 2026 — drei Jahre später ist das Problem nicht gelöst
- Unkontrollierbar und gefährlich? Wenn KIs eigenmächtig in IT-Systemen marodieren Tagesspiegel · Juli 2026 — der aktuelle Überblick aus der Wissenschaftsredaktion
In einfachen Worten
Wer keine Server betreibt, liest hier. Der nächste Abschnitt gehört denen, die es tun.
Deine Daten bleiben im Haus
Brainbox läuft auf Maschinen, die dir gehören — ein alter Tower, ein Raspberry Pi, eine VM auf dem NAS. Kein Cloud-Konto hält deine Dateien; womit ein Agent arbeitet, liegt bei dir und bleibt dort, solange keine Regel von dir etwas anderes erlaubt.
Eine schlechte Sitzung bleibt eine schlechte Sitzung
Wie Brandabschnitte in einem Gebäude: In einem Abschnitt kann etwas passieren — es greift nicht über. Ein ausgetrickster Agent beschädigt höchstens seinen eigenen, versiegelten Arbeitsraum. Patientenakten, Mandantendaten, das Mailarchiv — außer Reichweite, solange du sie nicht ausdrücklich hineingibst.
Du kannst jederzeit den Stecker ziehen
Es ist eine Box in deinem Haus, kein Dienst in fremden Händen. Läuft eine Sitzung aus dem Ruder, löschst du die Sitzung. Soll alles stehen, schaltest du die Box aus.
Was auf der Box tatsächlich läuft
Keine Hülle um Container. Wenn dein aktueller Behelf „der Agent läuft hier nur im Container“ heißt, ist das dein Abschnitt.
- Eine microVM pro Sitzung. Ein minimaler PID 1 und ein microVM-Monitor starten pro Agenten-Sitzung eine echte virtuelle Maschine — mit eigenem Kernel, nicht als Namensraum in deinem.
- Klapp den Laptop zu. Die Arbeit läuft weiter. Sitzungen leben auf der Box, nicht in deinem Terminal. Verbinde dich von überall neu — der Agent ist noch da, wo du ihn verlassen hast. Oder drei Stunden weiter.
- Zehn Agenten, keiner weiß vom anderen. Jede Sitzung bekommt die Trennung einer eigenen Maschine; ein fair verteilender Scheduler entscheidet, wer die Kerne bekommt.
- Maschinen hinzufügen statt Abos. Ein Raspberry Pi, der alte x86-Rechner, eine VM auf dem NAS — jede zusätzliche Maschine wird Kapazität im selben Verbund.
- Manche Schritte halten an und warten auf dich. Ein Agent kann seinen Besitzer fragen — die Sitzung wartet auf die Antwort. Schritte, die du als freigabepflichtig markierst, und zerstörerische wie das Löschen einer Sitzung oder das Entfernen eines Geräts brauchen einen zweiten Faktor von deinem Handy. Das Gate ist fail-closed: Lässt sich die Freigabe nicht bestätigen, passiert nichts.
- Netzzugang standardmäßig verboten. Eine Sitzung erreicht das Netz nur dort, wo eine Regel es erlaubt; Zugangsdaten werden außerhalb der VM vermittelt und nie an den Agenten gegeben.
- Von vorn bis hinten lesbar. Die Isolationsschicht ist veröffentlicht — du kannst die Aussagen auf dieser Seite prüfen, statt sie zu glauben.
Vorabversion. Die Kommandos ändern sich noch; das Isolationsmodell nicht.
Es leistet bereits echte Arbeit
Keine Demo. Monate unbeaufsichtigter Betrieb auf selbst gehosteten Maschinen.
Does It Reproduce? wiederholt selbstständig veröffentlichte biomedizinische Auswertungen: liest die Arbeit, beschafft die Daten, rechnet die Analyse nach und bewertet, wie gut das Ergebnis standhält. Niemand stellt Arbeiten in die Warteschlange oder startet Abgestürztes neu. Es ist die erste ernsthafte Last für Brainbox — und die härteste Prüfung.
Reproduktionen ansehen →
Diese Zahlen werden bei jedem Aufruf live aus dem Projekt selbst gelesen.
Klare Antworten
Die Fragen, die entscheiden, ob das etwas für dich ist.
Was brauche ich dafür?
Eine eigene Maschine: einen Raspberry Pi, einen alten x86-Rechner oder eine VM auf NAS oder Hypervisor. Installierbare Images für alle drei folgen kurz nach der Quellcode-Veröffentlichung. Bedient wird alles im Browser.
Was kostet das?
Nichts, bei nichtkommerzieller Nutzung — die Software ist unter PolyForm Noncommercial 1.0.0 frei, und sie läuft auf Hardware, die du schon hast. Kein Abo, keine minutengenaue Abrechnung. Kommerzieller Einsatz braucht eine eigene Lizenz.
Wo läuft das Sprachmodell?
Brainbox ist die Infrastruktur unter den Agenten, kein Modell-Anbieter. Du bringst deinen eigenen Modell-Zugang mit — ein lokales Modell, wenn deine Hardware es trägt, oder dein bestehendes Anbieter-Konto. In beiden Fällen erreicht eine Sitzung das Netz nur dort, wo ihre Netzregel es erlaubt.
Geht das mit vertraulichen Daten — Mandantenakten, Patientendaten?
Diese Entscheidung bleibt bei dir — und die Dateien auch: Arbeitsräume liegen auf deinen Maschinen, jede Sitzung ist von den anderen abgeschottet, und was eine Sitzung nach draußen schicken darf, bestimmt eine Regel — nicht der gute Wille des Agenten. Die Bundesrechtsanwaltskammer empfiehlt KI-Anbieter mit Serverstandort in Deutschland oder Europa. Es gibt einen Serverstandort, der jede Prüfung besteht: deinen eigenen.
Kann ich einen Agenten stoppen, bevor er etwas Unbeabsichtigtes tut?
Das steckt in der Art, wie Sitzungen laufen — nicht nachträglich angeflanscht. Ein Agent kann seinem Besitzer eine Frage stellen und wartet; du beantwortest sie auf der Startseite, ohne die Sitzung zu öffnen. Alles, was als freigabepflichtig markiert ist — und zerstörerische Aktionen von Haus aus —, pausiert, bis du mit zweitem Faktor bestätigst. Weil das Gate fail-closed ist, bedeutet Schweigen: Es passiert nicht. Der Fehlerfall ist ein wartender Agent, nie ein unerlaubt handelnder.
Ist Brainbox zertifiziert?
Brainbox behauptet keine Zertifizierungen, und diese Seite macht keine Compliance-Versprechen. Was es ändert, ist einfacher: Die Verarbeitung passiert auf Maschinen, die dir gehören. Die Frage „Wo sind unsere Daten?“ hat damit eine Ein-Wort-Antwort — hier.
Sei von Anfang an dabei
Der Quellcode wird am 9. August 2026 öffentlich. Installierbare Images für Raspberry Pi, x86 und virtuelle Maschinen folgen kurz darauf.
Lizenz
Brainbox erscheint unter PolyForm Noncommercial 1.0.0: frei zum Nutzen, Studieren, Ändern und Weitergeben für nichtkommerzielle Zwecke. Kommerzielle Nutzung braucht eine gesonderte Lizenz — geplant? Schreib an support@brainarbeit.com. Projektnamen und Logos sind von der Code-Lizenz nicht erfasst.